La inversión en estrategias de gestión inteligente de bots es imprescindible para que las empresas digitales se protejan de los ataques de éstos y puedan diferenciar entre el tráfico de bots beneficiosos y perjudicial.
Debemos partir de que los bots se utilizan de formas muy diversas. Pueden ser buenos y útiles, como los que proporcionan métricas del sitio web y mejoran el rendimiento, o bien, pueden ser malos, como los que se encargan de realizar ataques automatizados que incluyen la apropiación de cuentas (ATO), carding, web scraping, etc.
¿Qué es un bot o robot?
Un bot o web robot, es un software programado para realizar tareas automatizadas por medio de Internet. Los bots pueden imitar el comportamiento humano y se pueden emplear para realizar tareas a gran velocidad y a gran escala. Queramos o no, nos demos cuenta o no, los bots son parte de la vida cotidiana de la mayoría de nosotros. Si haces compras en tiendas online, buscas ofertas de viajes o contratas servicios financieros, te toparás con ellos. Ejemplo de esto son:
- Rastreadores web de motores de búsqueda.
- Chatbots para atención al cliente.
- Asistentes virtuales para aumentar la productividad.
Por ejemplo, los motores de búsqueda como Google o Bing utilizan robots rastreadores para recopilar periódicamente información de cientos de millones de dominios e indexarla en sus páginas de resultados.
¿Cómo funcionan los bots?
¿Sabías que más de la mitad de todo el tráfico en Internet se puede atribuir a los bots? Para algunos e-commerce, el tráfico de bots puede ser incluso superior al 90%. Los bots se dedican a escanear contenido, interactúan con millones de páginas web y cuentas de redes sociales o incluso chatean con los usuarios.
Algunos son beneficiosos, como los de motores de búsqueda que emplean el aprendizaje automático para indexar contenido, o los de servicio al cliente que ayudan a los usuarios con sus dudas. Sin embargo, otros bots se emplean para atacar a sitios web y aplicaciones móviles. Estos bots están programados para acceder a las cuentas de los usuarios, escanear webs en busca de información de contacto para enviar spam o realizar otras actividades dañinas que contribuyen al fraude y a la apropiación indebida de cuentas y datos privados, entre otros.
¿Qué convierte a un bot en dañino?
Los bots maliciosos están programados para realizar una importante variedad de tareas dañinas que pueden provocar filtraciones de datos, robo de identidad y otras incidencias no deseadas para las empresas digitales y los usuarios de internet.
La competencia desleal puede mandar este tipo de bots con la intención de extraer contenido de tu web. Este contenido puede incluir información sobre precios, ofertas, novedades, etc. Se pueden emplear para enviar spam a foros, crear millones de falsos clientes potenciales, campañas de abandono de carrito de la compra en tiendas online, distorsionar los análisis de marketing, etc.
Los bots pueden imitar el comportamiento de los humanos, lo que los hace extremadamente difíciles de detectar y bloquear. Por desgracia, para que las empresas digitales puedan hacer frente a esto, las soluciones convencionales como los firewalls de aplicaciones web (WAF) ya no son suficientes.
Destinados a realizar tareas simples y repetitivas, los bots son scripts y programas que permiten a sus usuarios hacer cosas rápidamente y a gran escala escala.
Los ataques de bots más extendidos
Los ataques maliciosos son diversos y afectan negativamente y de varias formas, hundiendo la reputación de tu marca, influyendo en el impacto en los ingresos, aumentando el riesgo de una violación de datos. Hay muchos ataques propiciados por bots que afectan a las empresas desde el inicio de sesión hasta el su cierre, como por ejemplo:
Adquisición de cuenta (ATO)
Los ciberdelincuentes programan bots provistos de credenciales de nombre de usuario y contraseña robados para apuntar a la página de inicio de sesión de cuentas online, como una cuenta de comercio electrónico, banco o emails. Estos ataques afectan a cualquier empresa donde el cliente necesite de un inicio de sesión. Los objetivos incluyen juegos online, minoristas, empresas de servicios financieros, agencias de viajes, etc.
Relleno de tarjetas de crédito
En los ataques de tarjetas, los bots prueban la información de tarjetas de crédito o débito robadas en sitios de e-commerce con pequeñas compras para evitar su detección. Cuando las pequeñas compras se realizan con éxito y se comprueba que la tarjeta de crédito es válida, los datos de ésta se emplean para recuperar fondos de cuentas asociadas o para comprar tarjetas de regalo o bienes que se pueden convertir inmediatamente en efectivo.
Como podemos comprobar, los ataques con tarjeta son parecidos a los ataques ATO, sin embargo, los ataques con tarjeta se focalizan en la página de pago de las tiendas online donde se introduce la información de tarjeta robada.
Scraping o recolección web
Por medio del scraping, los bots se emplean para robar precios, reseñas de productos y datos de inventario de páginas web tipo tienda online, con el objetivo de capturar y redirigir a los clientes de una empresa a otro sitio web.
Denegación de inventario
La denegación de inventario es una forma de acaparamiento de inventario en la que los delincuentes emplean bots programados para retener artículos en cestas de tiendas online sin completar la venta. El objetivo de este ataque es hacer que el artículo, por lo general de alta demanda o disponibilidad limitada, no esté disponible para otros interesados. Por lo que, el proceso de pago nunca se llega a completar, lo que impide que los auténticos clientes compren el artículo y, por ende, cause que el comerciante no pueda realizar las ventas debidas ocasionando un gran inventario.
Scalping
Con el scalping , los bots se emplean para comprar rápidamente artículos de alta demanda y disponibilidad limitada. Una vez que se acaba con el inventario de una tienda online, los ciberdelincuentes venden dichos artículos, los cuales escasean, en mercados secundarios a precios mucho más altos.
Detectando bots
La detección de bots es imprescindible para lograr el éxito en el mercado digital. La capacidad de identificar el tráfico de bots maliciosos y saber diferenciarlo de los buenos es clave. Las señales de que tu empresa está siendo víctima de bots maliciosos pueden conllevar:
Aumento de errores de inicio de sesión
Si notas un aumento repentino en los errores de inicio de sesión, es probable que estés bajo el ataque de los bots ATO. Los delincuentes suelen comprar listas de credenciales para luego desplegar un ejército de bots para probarlas en los sitios más populares.
Aumento en la creación de cuentas
El aumento inesperado en las cuentas de nuevos clientes podría indicar bots, no nuevos clientes reales. La creación de cuentas falsas ocurre cuando los bots crean nuevas cuentas que no están vinculadas a usuarios reales, empleándose para otros ataques o transacciones fraudulentas.
Aumento de errores en la validación de códigos de descuento o tarjetas de regalo
Cuando apreciamos un aumento rápido y anómalo en los errores de validación de tarjetas de regalo a menudo significa que estamos siendo víctimas de un ataque de tarjetas. Los bots intentan identificar qué tarjetas de regalo tienen saldos elevados para poder venderlas.
Mayor abandono de cestas de la compra
Si notas un aumento en los artículos abandonados en el carrito de la compra sin completar la venta, los bots pueden ser la causa y tu ser víctima de un ataque de denegación de inventario.
Tu contenido aparece en un sitio web extraño
Cuando te das cuenta de que tu contenido, artículos de blog, oferta promocional, etc aparecen de forma misteriosa en sitios web de la competencia y no ha sido aprobado por ti, es probable que seas víctima de los bots de scraping.
Gestionando la presencia de bots
A día de hoy, las mejores herramientas de gestión de bots son precisas y fáciles de implementar. A medida que los bots se vuelven más sofisticados mejorando la capacidad de imitar el comportamiento humano, las herramientas de detección de bots también avanzan, o deberían. Elegir una herramienta basada en Inteligencia Artificial (IA) que se especialice en la identificación de actividad de bots maliciosos en APPs, sitios web y APIs ayudará a hacer frente a los nuevos ataques de bots a medida que aparecen y bloquearlos de manera efectiva.
Las herramientas de gestión de bots han de ser:
- Rápidas: deben procesar ataques de fuerza bruta y ATO.
- Precisas: han de identificar el bajo número de falsos positivos (FP) y falsos negativos (FN).
- Libres de fricción: no deben ahuyentar a los usuarios reales.
- Listas para dispositivos móviles: deben funcionar bien en aplicaciones móviles.
- Riesgo bajo: evitar recopilar información de identificación personal.